Forslag til lov om udstedelse af NemID med offentlig digital signatur til fysiske personer

Transkript

1 UDKAST Høringsversion Forslag til lov om udstedelse af NemID med offentlig digital signatur til fysiske personer 1. Ministeren for offentlig innovation eller den, ministeren bemyndiger dertil, udpeger en udsteder, der administrerer og udsteder NemID med offentlig digital signatur til fysiske personer. Den udpegede udsteder, jf. 1. pkt., kan være en privat virksomhed. Stk. 2. Ministeren for offentlig innovation fastsætter regler om administration af NemID med offentlig digital signatur til fysiske personer, herunder om udstedelse og spærring samt om fysiske personers håndtering af NemID med offentlig digital signatur til fysiske personer. 2. Den udsteder, der er udpeget i medfør af 1, stk. 1, kan indgå aftaler med juridiske enheder om at varetage opgaven med at administrere og udstede NemID med offentlig digital signatur til fysiske personer, som registreringsenhed på vegne af udstederen. 3. Fysiske personer, der er fyldt 15 år, har et personnummer og kan legitimere sig fyldestgørende, kan anmode om at få udstedt NemID med offentlig digital signatur til fysiske personer efter de regler, der fastsættes i medfør af 1, stk Klage over en afgørelse truffet efter regler fastsat i medfør af 1, stk. 2, kan indbringes for Digitaliseringsstyrelsen. Stk. 2. Digitaliseringsstyrelsens afgørelser efter stk. 1 kan ikke påklages til anden administrativ myndighed. 5. Loven træder i kraft den 1. juli 2018.

2 Side 2 af 20 Almindelige bemærkninger Indholdsfortegnelse 1. Lovforslagets formål og baggrund 2. Lovforslagets hovedindhold 2.1. Administration og udstedelse af NemID Gældende ret Finansministeriets overvejelser og lovforslagets indhold 3. Økonomiske og administrative konsekvenser for det offentlige 4. Økonomiske og administrative konsekvenser for erhvervslivet mv. 5. Administrative konsekvenser for borgerne 6. Miljømæssige konsekvenser 7. Forholdet til EU-retten 8. Hørte myndigheder og organisationer mv. 9. Sammenfattende skema 1. Lovforslagets formål og baggrund NemID med offentlig digital signatur til fysiske personer (NemID) er blevet udbredt til det meste af befolkningen og har med tiden fået en mere betydelig og central rolle end det oprindelige udgangspunkt, da der i 2008 blev indgået kontrakt med Nets DanID A/S om administration og udstedelse af NemID. På mange offentlige digitale serviceområder forudsættes det nu, at borgerne har og anvender NemID. Dette gælder blandt andet, når en borger skal have adgang til at læse Digital Post fra offentlige afsendere, og når en borger skal anvende offentlige digitale selvbetjeningsløsninger.

3 Side 3 af 20 Den øgede digitalisering af den offentlige forvaltning og den centrale rolle, som NemID spiller i den forbindelse, har medført et stigende behov for at sikre klare juridiske rammer for borgernes pligter og rettigheder i forhold til NemID. Folketingets Ombudsmand har ligeledes givet udtryk for, at lovgrundlaget for forvaltningen af NemID og for borgernes mulighed for at klage over afslag på at få udstedt NemID, bør være klar med henblik på at sikre borgernes retsstilling. På baggrund af ovenstående er det derfor vurderingen, at tiden er inde til at sikre en klar lovgivningsmæssig ramme for borgerens pligter og rettigheder i forbindelse med administration og udstedelse af NemID. Dette skal styrke retssikkerheden på området og særligt sikre, at borgerne har en tydelig adgang til at klage, hvis de ikke kan få udstedt NemID, NemID bliver spærret og lignende. Formålet med loven er derfor at tydeliggøre borgernes retsstilling, herunder klagemuligheder, samt at fastslå ved lov, at det er en myndighedsopgave og et myndighedsansvar at sikre udstedelse af NemID. Der etableres lovhjemmel til, at Digitaliseringsstyrelsen udpeger en udsteder og delegerer opgaven med at administrere og udstede NemID til udstederen, der kan træffe afgørelse om udstedelse af og afslag på NemID. Det tydeliggøres med loven, at udstederen af NemID er udpeget af Digitaliseringsstyrelsen til at varetage opgaven på statens vegne. Det fastsættes, at udstederen kan overlade opgaven med at administrere og udstede NemID til registreringsenheder, hvorved disse kan træffe afgørelser på vegne af udsteder. Der indføres lovhjemmel til, at Digitaliseringsstyrelsen som hidtil kan fastsætte de regler og vilkår, som en borger skal opfylde for at få udstedt NemID. Samtidig fastsættes det ved lov, at borgere, der eksempelvis har fået afslag på at få udstedt eller genåbnet NemID eller har fået spærret NemID, vil kunne klage over denne afgørelse til Digitaliseringsstyrelsen. Det er hensigten at videreføre det, der allerede gælder i dag i medfør af den kontrakt, som Digitaliseringsstyrelsen har indgået med Nets DanID A/S om administration og udstedelse af NemID, og som Digitaliseringsstyrelsen har udformet og fastsat i den såkaldte certifikatpolitik for OCES-personcertifikater. Lovforslaget har ikke til hensigt at ændre på dette. Lovforslaget omfatter NemID med offentlig digital signatur til fysiske personer, som er det NemID, som privatpersoner, også benævnt borgere, kan få udstedt online på hjemmesiden nemid.nu eller ved personligt fremmøde hos en registreringsenhed eksempelvis i kommunernes borgerservicecentre. Der er tale om en offentlig digital signatur baseret på et OCES-personcertifikat. Der eksisterer pt. ikke andre udstedere af OCES-personcertifikater til borgere end Nets DanID A/S. Derfor omfatter lovforslaget alene NemID til fysiske personer, og den allerede udpegede udsteder heraf.

4 Side 4 af 20 Pengeinstitutter udsteder tillige NemID til netbank. NemID til netbank udstedes til bankkunder til brug i netbank. NemID til netbank indeholder ikke offentlig digital signatur og giver derfor ikke adgang til offentlige tjenester. NemID til netbank og udstedelse heraf er ikke omfattet af lovforslaget. Pengeinstitutternes registreringsenheder vil dog være omfattet af lovforslaget, i det omfang de på vegne af Nets DanID A/S foretager registrering med henblik på udstedelse af NemID med offentlig digital signatur til fysiske personer i lighed med registreringsenhederne i kommunerne. Lovforslaget udelukker ikke, at andre udvikler og udsteder andre eid eller signaturløsninger på markedsvilkår. Loven udelukker desuden ikke, at andre EUlandes anmeldte eid efter eidas-forordningen kan anvendes til at tilgå offentlige myndigheders hjemmesider og selvbetjeningsløsninger i Danmark. Staten ejer og har udviklet en række øvrige certifikatpolitikker for henholdsvis virksomheds-, medarbejder- og funktionscertifikater. Disse er ikke omfattet af lovforslaget. 2. Lovforslagets hovedindhold 2.1. Administration og udstedelse af NemID samt muligheden for at klage Gældende ret En digital signatur er en elektronisk underskrift, som blandt andet kan bruges, når det er væsentligt at vide, hvem man kommunikerer med elektronisk. NemID med offentlig digital signatur til fysiske personer (NemID) er ikke lovreguleret. Udvikling og udstedelse af NemID er en opgave, som stat, kommuner og regioner har finansieret for at fremme digitalisering af den offentlige forvaltning. Administration og udstedelse af NemID, betingelserne for at få udstedt NemID samt borgerens mulighed for at klage ved afslag på at få udstedt NemID følger i dag af certifikatpolitik for OCES-personcertifikater, og aftaler indgået mellem Nets DanID A/S og registreringsenhederne henholdsvis mellem Nets DanID A/S og den enkelte borger, der har fået udstedt NemID. På en lang række områder stiller offentlige myndigheder krav om, at borgere og virksomheder anvender NemID, når de skal tilgå offentlige digitale løsninger. I lov om Digital Post fra offentlige afsendere, jf. lovbekendtgørelse nr. 801 af 13. juni 2016, er det fastsat, at fysiske personer, der er 15 år eller derover, og som har bopæl eller fast ophold i Danmark, obligatorisk skal tilsluttes Digital Post. En forudsætning for at kunne tilsluttes og tilgå Digital Post er, at borgeren har NemID med offentlig digital signatur.

5 Side 5 af 20 Der er indført obligatorisk digital selvbetjening på en lang række offentlige serviceområder. Der er overvejende taget udgangspunkt i det bølgelovs-koncept, som blev indført som led i udmøntning af den fællesoffentlige digitaliseringsstrategi ( ) ved de fire samlelove om overgang til obligatorisk digital selvbetjening; lov nr. 558 af 18. juni 2012 (bølge 1), lov nr. 622 af 12. juni 2013 (bølge 2), lov nr. 552 af 2. juni 2014 (bølge 3) og lov nr. 742 af 1. juni 2015 (bølge 4). De fire samlelove indføjer i de fagspecifikke love stort set enslydende bestemmelser om, at de borgere, der kan, skal anvende digital selvbetjening, når borgeren skal ansøge, anmelde eller anmode mv. om det konkrete forhold, som loven på det pågældende område omhandler. Når en borger skal tilgå en offentlig myndigheds digitale selvbetjeningsløsning, vil det oftest forudsætte anvendelse af NemID. Udgangspunktet for obligatorisk digital selvbetjening og Digital Post er dermed, at de, der kan få NemID, skal anvende NemID. En borger, der ikke kan få eller kun vanskeligt kan få NemID, vil kunne undtages fra at kommunikere digitalt med offentlige myndigheder efter de regler, der gælder på de enkelte områder. Det daværende IT- og Telestyrelsen, nu Digitaliseringsstyrelsen, har udarbejdet fire OCES-certifikatpolitikker for henholdsvis person-, medarbejder-, virksomheds- og funktionscertifikater. OCES er betegnelsen for Offentlige Certifikater til Elektronisk Service. OCES-certifikatpolitikkerne administreres af Digitaliseringsstyrelsen. Certifikatpolitikken for OCES-personcertifikater udgør i dag grundlaget for udstedelse af NemID og er senest opdateret til version 5 af den 2. marts 2017, jf. bilag 1 til lovforslaget. Nets DanID A/S blev i 2008 udpeget af det daværende IT- og Telestyrelsen, nu Digitaliseringsstyrelsen, som udsteder af NemID på baggrund af et EU-udbud. Digitaliseringsstyrelsen har indgået en kontrakt med Nets DanID A/S i form af en OCES-standardaftale, hvori Nets DanID A/S blandt andet forpligter sig til at opfylde kravene i certifikatpolitikken for OCES-personcertifikater herunder at være underlagt Digitaliseringsstyrelsens tilsyn baseret på ekstern statsautoriseret revision. Certifikatpolitikken for OCES-personcertifikater stiller krav til, hvordan og under hvilke vilkår Nets DanID A/S, som udsteder, skal udføre opgaven med administration og udstedelse af NemID på vegne af staten. Digitaliseringsstyrelsen har registreret sin eneret til at benytte betegnelserne OCES og OCES-OID til brug for udstedelse af certifikater til offentlig digital signatur. Nets DanID A/S har via udpegningen ret til at benytte betegnelserne OCES og OCES-OID for de udstedte certifikater, der benyttes i NemID med offentlig digital signatur. Dette er et bevis over for offentligheden på, at NemID, som Nets Dan ID A/S udsteder, opfylder en række krav, som Digitaliseringsstyrelsen har opstillet og fører tilsyn med henblik på sikker brug og administration af digitale signaturer.

6 Side 6 af 20 Administration, registrering og udstedelse af NemID kan ifølge certifikatpolitikken for OCES-personcertifikater varetages af Nets DanID A/S selv eller af en selvstændig registreringsenhed ved delegation. Nets DanID A/S har ansvaret for hele udstedelsesprocessen herunder validering af borgerens identitet. For at blive registreringsenhed indgås en aftale med Nets DanID A/S. Nets DanID har indgået bilaterale aftaler med de enkelte kommuner om at udstede NemID på vegne af Nets DanID A/S til borgere ved fysisk fremmøde. Dette er led i den fællesoffentlige aftale om udbredelse og anvendelse af NemID (edag 1-3). Derfor er en række af kommunernes borgerservicecentre udpeget som selvstændige registreringsenheder, hvor betroede registreringsmedarbejdere på vegne af Nets DanID A/S udsteder NemID til borgere, der møder fysisk frem. Dette gælder eksempelvis borgere, der hverken har kørekort eller pas, og som derfor ikke kan anmode om NemID digitalt. Der foreligger således dels en aftale mellem Digitaliseringsstyrelsen og KL, dels bilaterale aftaler mellem Nets DanID A/S og hver enkelt kommune, der udsteder NemID. Ud over kommunerne har en række pengeinstitutter i Danmark indgået lignende bilaterale aftaler med Nets DanID A/S om, som registreringsenheder, at udstede NemID med offentlig digital signatur til fysiske personer på vegne af Nets DanID A/S. Hertil kommer Kriminalforsorgen, der kan agere registreringsenhed i forhold til indsatte i fængslerne og lignende. Aftalerne med registreringsenhederne indeholder kommunernes og pengeinstitutternes accept af, at de i deres egenskab af registreringsenhed for Nets DanID A/S skal overholde de betingelser og udstedelsesprocesser, som er udstukket af Nets DanID A/S, og at de er underlagt revision fra Nets DanID A/S. Registreringsenhedernes administration og udstedelse af NemID er nøje beskrevet i bilaterale standardiserede aftaler mellem den enkelte kommune og Nets DanID A/S. Aftalerne indeholder tillige instrukser, arbejdsgangsbeskrivelse mv, kriterier for, hvornår der kan udstedes NemID til en borger, en udførlig og detaljeret beskrivelse af rammerne for udstedelsesproceduren og arbejdsgange for udstedelse af NemID. Disse instrukser støtter medarbejderne i deres konkrete vurdering af, hvorvidt en borger opfylder betingelserne for at få udstedt NemID. Aftalerne med registreringsenhederne indeholder bestemmelser for revision, uddannelse og teknisk understøttelse. Nets DanID A/S stiller derefter deres registrering- og udstedelsesmodul til rådighed og uddanner medarbejderne fra registreringsenheden til at kunne udstede NemID. Rammerne for udstedelse af NemID er fastsat i certifikatpolitik for OCESpersoncertifikater. NemID udstedes, når en fysisk person er blevet identificeret og registreret hos Nets DanID A/S. Rammerne for udstedelse har særligt fokus på sikkerheden omkring udstedelse og anvendelse af NemID-løsningen med henblik på at skabe troværdighed og tillid omkring løsningen og registreringsenhedernes

7 Side 7 af 20 udstedelse af NemID. En fysisk person, der er fyldt 15 år, har et personnummer og kan legitimere sig fyldestgørende, kan anmode om at få udstedt NemID online på hjemmesiden nemid.nu eller ved personligt fremmøde hos en registreringsenhed eksempelvis i kommunernes borgerservicecentre. Dette betyder blandt andet, at grønlændere og færinger, der har et personnummer, også kan anmode om at få udstedt NemID. NemID bruges allerede af grønlændere og færinger. NemID er ikke kun for danske statsborgere, men også for udlændinge, der bosætter sig og får et personnummer eksempelvis i forbindelse med, at de kommer til landet for at arbejde eller studere. I forbindelse med udstedelse af NemID skal borgeren acceptere de vilkår, der gælder for NemID, som er udformet af Nets DanID A/S og godkendt af Digitaliseringsstyrelsen. Vilkårene for NemID fastslår, hvordan borgeren skal håndtere NemID. Vilkårene for NemID er udarbejdet på baggrund af kravene i certifikatpolitik for OCES-personcertifikater og betegnes som NemID-regler. Vilkårene bliver løbende revideret af Digitaliseringsstyrelsen og Nets DanID A/S i fællesskab for at sikre en tilstrækkelig høj sikkerhed og troværdighed for løsningen. Det er afgørende for sikkerheden, troværdigheden og tilliden omkring NemID, at der ikke udstedes NemID til borgere, som kognitivt ikke er i stand til at forstå de fastsatte vilkår og at håndtere nøglekort og NemID korrekt. Ved borgerens fysiske fremmøde i borgerservice foretager borgerservicemedarbejderen i sin egenskab af registreringsenhed på vegne af Nets DanID A/S en vurdering af, om en borger kan opfylde kravene til udstedelse af NemID. På denne baggrund træffer registreringsenheden afgørelse om at udstede NemID eller at afslå at udstede NemID til borgeren. Digitaliseringsstyrelsen har ansvaret for kontrakten med Nets DanID A/S, for OCES-standarden og for tilsynet med Nets DanID A/S. Når en registreringsenhed træffer afgørelse om at giver afslag på at udstede NemID til en borger, sker det på baggrund af den aftale, som registreringsenheden har indgået med Nets DanID A/S, om at sikre overholdelse af krav til udstedelse af NemID. En borger skal i forbindelse med et afslag på af få udstedt eller genåbnet NemID oplyses om grunden til afslaget og muligheden for at klage. Et afslag gives typisk mundtligt. Ved afslag på udstedelse af NemID har borgeren på et senere tidspunkt mulighed for at indgive en ny anmodning om udstedelse af NemID eksempelvis med de rigtige legitimationsdokumenter eller et eventuelt vitterlighedsvidne. Endvidere er der mulighed for, at borgeren kan benytte en tolk. Digitaliseringsstyrelsen har som ressortansvarlig myndighed aftalt med Nets DanID A/S, at klager over afgørelser truffet af Nets DanID A/S og registreringsenhederne kan videresendes til Digitaliseringsstyrelsen. Digitaliseringsstyrelsen behandler således i dag, som ansvarlig for OCESstandarden og kontrakten med Nets DanID A/S, klager i relation til NemID, herunder blandt andet klager over spærring og afslag på at få udstedt eller genåbnet NemID.

8 Side 8 af 20 Digitaliseringsstyrelsen kan i konkrete sager rette henvendelse til en registreringsenhed eller Nets DanID A/S med henblik på at få klarlagt fakta i en klagesag. Når Digitaliseringsstyrelsen har behandlet en klage fra en borger, får borgeren og den konkrete registreringsenhed et skriftligt svar på henvendelsen Finansministeriets overvejelser og lovforslagets indhold På baggrund af den øgede digitalisering og den meget centrale rolle, som NemID med offentlig digital signatur til fysiske personer (NemID) spiller i den forbindelse, har Finansministeriet løbende overvejet, hvorvidt der bør lovgives om administration og udstedelse af NemID til borgere, herunder om borgerens rettigheder og klageadgang. Udbredelsen og anvendelsen af NemID har blandt andet med krav om tilslutning til Digital Post fra offentlige afsendere og offentlige myndigheders obligatoriske digitale selvbetjeningsløsninger bevæget sig imod en mere betydelig og central rolle, end det oprindelige udgangspunkt i da Nets DanID A/S blev udpeget i 2008, og NemID udgør nu en væsentlig infrastrukturkomponent. Det er således nødvendigt at have NemID for at kunne tilgå Digital Post og for at kunne betjene sig selv på de mange offentlige digitale selvbetjeningsløsninger. Den hastige udvikling i den offentlige digitalisering har betydet, at udbredelsen og anvendelsen af NemID har et sådan omfang og betydning, at NemID er væsentlig for borgerens adgang til den offentlige forvaltning og for mulighed for at være borger i det digitale Danmark. Folketingets Ombudsmand har i sin redegørelse af 15. juni 2017 Forvaltningen af NemID gav anledning til spørgsmål om tilstrækkelig lovhjemmel m.v. blandt andet udtalt, at NemID fra at være et frivilligt tilbud til borgere, der ønskede at tilmelde sig ordningen, og som fra starten kun indgik i forholdsvis få offentlige digitale løsninger er blevet en integreret del af en lang række obligatoriske offentlige digitale løsninger, og at NemID således er gået fra at være et tilbud om, at borgere, som ønskede det, i visse tilfælde kunne betjene sig af digitale løsninger, til at være praktisk talt afgørende for, at borgerne kan opnå en tidssvarende betjening i forhold til store dele af det offentlige, både for så vidt angår offentlig servicevirksomhed (faktisk forvaltningsvirksomhed) og for så vidt angår offentlig afgørelsesvirksomhed. Folketingets Ombudsmand har peget på behovet for at tydeliggøre, hvorvidt den opgavevaretagelse, som Nets DanID A/S henholdsvis registreringsenhederne varetager, er afgørelsesvirksomhed eller anden form for myndighedsudøvelse. Der skal tillige sikres hjemmel til at delegere opgaven til Nets DanID A/S henholdsvis registreringsenhederne. Det er på denne baggrund Finansministeriets vurdering, at der bør være klarhed omkring myndighedsansvar og borgerens retsstilling i forbindelse med udstedelse af NemID.

9 Side 9 af 20 Formålet med loven er derfor at tydeliggøre borgernes retsstilling, herunder klagemuligheder, samt at fastslå ved lov, at det er en myndighedsopgave og et myndighedsansvar at sikre udstedelse af NemID. Det er Finansministeriets vurdering, at det bør tydeliggøres, at en udpeget udsteder, som i dag er Nets DanID A/S, og registreringsenheder, som udstederen har indgået aftaler med, varetager en myndighedsopgave og træffer en forvaltningsretlig afgørelse, når de udsteder NemID til en borger, giver afslag på at udstede eller genåbne NemID og når de spærrer NemID. Det har den betydning, at de almindelige forvaltningsretlige regler, herunder forvaltningsloven, og forvaltningsretlige grundsætninger vil finde anvendelse i sådanne sager. Med lovforslaget er det hensigten at fastslå, at ministeren for offentlig innovation (i praksis Digitaliseringsstyrelsen) har ansvaret for at udpege en udsteder, der skal udføre opgaven med at administrere og udstede NemID til borgere. Nets DanID A/S er allerede udpeget og vil derfor agere udsteder i perioden frem til den gældende kontrakt udløber efter forlængelse forventeligt i Det tydeliggøres med loven, at udstederen af NemID er udpeget af ministeren for offentlig innovation (Digitaliseringsstyrelsen) til at varetage opgaven på statens vegne. Dermed er opgaven med at administrere og udstede NemID delegeret til udstederen, der kan træffe afgørelse om udstedelse af og afslag på NemID. Herved tydeliggøres det, at administration og udstedelse af NemID skal ske efter forvaltningsretlige regler og principper. En borger, der eksempelvis får afslag på at få udstedt NemID, skal derfor blandt andet have en begrundelse og en klagevejledning samt eventuelt en skriftlig afgørelse. Der henvises til lovforslagets 1, stk. 1. Der indføres hjemmel til, at ministeren for offentlig innovation kan fastsætte de regler og vilkår, som en borger skal opfylde for at få udstedt NemID. Det er hensigten, at der fastsættes regler, der viderefører den gældende tilgang i forbindelse med udstedelse, spærring og håndtering af NemID. Den gældende tilgang fremgår blandt andet af punkt 6.2 i certifikatpolitik for OCES-personcertifikater. Det forudsættes i forbindelse med udstedelsen af administrative regler med hjemmel i lovforslagets 1, stk. 2, at de krav, der fastsættes, og som en borger skal opfylde for at få udstedt NemID, følger de til enhver tid gældende krav, som fremgår af certifikatpolitik for OCES-personcertifikater. Med fastsættelse af regler skal det bliver klart for borgerne, i hvilke tilfælde de kan forvente at kunne få NemID.

10 Side 10 af 20 Det er ikke hensigten at ændre på de gældende krav og vilkår, som en borger skal opfylde for at få udstedt NemID, da det er hensigten at videreføre den eksisterende praksis. Der henvises til lovforslagets 1, stk. 2. Med lovforslagets slås det fast, at den udpegede udsteders, det vil sige i dag Nets DanID A/S, henholdsvis registreringsenhedernes administration og udstedelse af NemID på vegne af Nets DanID A/S desuden sker efter de regler, som fastsættes i medfør af 1, stk. 2. Den udpegede udsteder henholdsvis registreringsenhederne vil herudover skulle administrere inden for øvrige relevante retsregler, herunder forvaltningsloven og den til enhver tid gældende persondatalovgivning Det fastsættes, at udstederen kan overlade opgaven med at administrere og udstede NemID til juridiske enheder (såkaldte registreringsenheder), hvorved disse kan træffe afgørelser på vegne af udsteder. Begrebet juridisk enhed skal forstås i overensstemmelse med anvendelsen af begrebet i lov om Det Centrale Virksomhedsregister, jf. lovbekendtgørelse nr. 653 af 15. juni 2006 med senere ændringer, hvoraf det fremgår af 3, at en juridisk enhed kan være 1) en fysisk person i dennes egenskab af arbejdsgiver eller selvstændigt erhvervsdrivende, 2) en juridisk person eller filial af en udenlandsk juridisk person, 3)en statslig administrativ enhed, 4) en region, 5) en kommune eller 6) et kommunalt fællesskab. Det sikres samtidig, at loven anvender samme begreb, som anvendes i OCES-personcertifikatpolitikken. Der henvises til lovforslagets 2. Det fastsættes direkte i loven, at en fysisk person, der er fyldt 15 år, har et personnummer og kan legitimere sig fyldestgørende, kan anmode om at få udstedt NemID. De nærmere betingelser for at udstedt få NemID vil blive fastsat i medfør af 1, stk. 2. For at sikre, at borgere, der får afslag på af få udstedt NemID, har mulighed for at klage over dette, fastsættes det i loven, at et afslag på at få udstedt NemID kan påklages til Digitaliseringsstyrelsen. Denne klageadgang gælder uanset, om afgørelsen er truffet af den udpegede udsteder eller af en registreringsenhed, som den udpegede udsteder har indgået aftale med i henhold til lovforslagets 2. Det understreges samtidig, at administrationen er henlagt under Digitaliseringsstyrelsen som ansvarlig myndighed på området. Det vil endvidere være muligt at indbringe klager over afgørelser om afslag på genåbning af NemID samt afgørelse om spærring af NemID, manglende mulighed for fornyelse og lignende, hvor en registreringsenhed, som led i behandlingen af en anmodning om at få udstedt NemID, træffer en konkret forvaltningsretlige afgørelse i forhold til en borger. Endelig er det hensigten direkte i loven at fastslå, at borgeren kan klage til Digitaliseringsstyrelsen over de afgørelser som Nets DanID A/S henholdsvis registerringsenhederne pva Nets DanID A/S træffer. Det kan eksempelvis være over en afgørelse om afslag på at få udstedt eller genåbnet NemID eller om at spærre NemID. Der henvises til lovforslagets 4, stk. 1.

11 Side 11 af 20 Digitaliseringsstyrelsen vil som hidtil føre tilsyn med NemID gennem de bestemmelser, der fremgår af OCES-certifikatpolitikkerne. Med lovforslaget er det ikke hensigten at ændre på den tilsynsopgave, som Digitaliseringsstyrelsen allerede har med Nets DanID A/S som udsteder af NemID. Lovforslaget finder ikke anvendelse på forhold omfattet af lov nr. 617 af 8. juni 2016 om supplerende bestemmelser til forordning om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked. Digitaliseringsstyrelsen er udpeget som tilsynsorgan, og finansministeren (nu ministeren for offentlig innovation) er bemyndiget til at fastsætte nærmere regler om tilsynet. Tilsyn med national autentifikation er ikke reguleret i eidas forordningen. Det forudsættes imidlertid i forordningen, at der er et nationalt tilsyn, idet det følger af forordningen, at en medlemsstat skal redegøre for det tilsyn, der føres med en autentifikationsløsning, såfremt den anmeldes til Kommissionen. NemID-løsning integrerer autentifikation og signering i den samme løsning, hvorved det etablerede tilsyn fører tilsyn med såvel signeringsdelen som autentifikationsdelen. Lovforslaget vedrører alene NemID til fysiske personer. Nets DanID A/S ret til at udstede NemID udløber efter forlængelse forventeligt i Digitaliseringsstyrelsen forbereder et EU-udbud af den kommende nationale eid- og autentifikationsløsning; MitID. Digitaliseringsstyrelsen har indgået et samarbejde med pengeinstitutterne repræsenteret ved Finans Danmark via selskabet FR1 af 16. september 2015 A/S om dette EU-udbud. Det kommende MitID vil ikke være omfattet af lovforslaget. 3. Økonomiske og administrative konsekvenser for det offentlige Det vurderes, at lovforslaget ikke har økonomiske konsekvenser for det offentlige, og at lovforslaget alene har mindre administrative konsekvenser for det offentlige. Der er tale om en videreførelse af det, der allerede følger af den gældende certifikatpolitik for OCES-personcertifikater, som Digitaliseringsstyrelsen har udarbejdet, og som Nets DanID A/S udsteder NemID med offentlig digital signatur til fysiske personer (NemID) efter. Der er tillige tale om en videreførelse af en administration, der allerede er etableret ved privat aftaleindgåelse dels mellem Digitaliseringsstyrelsen og Nets DanID A/S og dels mellem Digitaliseringsstyrelsen og KL samt Nets DanID A/S og registreringsenhederne i de enkelte kommuner og pengeinstitutter, hvor registreringsenhederne på vegne af Nets DanID A/S udsteder NemID til fremmødte borgere, der opfylder, de fastsatte vilkår. Med lovforslaget fastslås det, at borgeren kan klage til Digitaliseringsstyrelsen. Digitaliseringsstyrelsen vil med lovforslaget skulle behandle klager og træffe afgørelse, hvis en borger klager over at have fået afslag på at få udstedt eller åbnet for et spærret NemID. Nets DanID A/S har overfor Digitaliseringsstyrelsen

12 Side 12 af 20 oplyst, at de erfaringsmæssigt modtager mellem klager fra borgere om året om udstedelse eller spærring af NemID. Hovedparten af disse håndteres ved simpel information samt med oplysning om, at der kan klages til Digitaliseringsstyrelsen. Digitaliseringsstyrelsen modtager cirka 10 klager om året. Det er vurderingen, at behandlingen af sager ikke medfører mere administration i form af flere klager, hverken i den enkelte registreringsenhed eller i Digitaliseringsstyrelsen. Det er vurderingen, at antallet af klager vil være på niveau med det nuværende, og at det vil kunne afholdes indenfor Digitaliseringsstyrelsen eksisterende ramme. 4. Økonomiske og administrative konsekvenser for erhvervslivet mv. Lovforslaget har ingen økonomiske eller administrative konsekvenser for erhvervslivet. 5. Administrative konsekvenser for borgerne Det vurderes, at lovforslaget giver borgerne en mere klar retsstilling og sikrer, at borgerne kan klage til Digitaliseringsstyrelsen over afslag på at få udstedt NemID mv. 6. Miljømæssige konsekvenser Lovforslaget har ingen miljømæssige konsekvenser. 7. Forholdet til EU-retten Lovforslaget indeholder ikke EU-retlige aspekter. Lovforslaget omfatter ikke anerkendelse af elektroniske identifikationsmidler for fysiske og juridiske personer, der er omfattet af en anmeldt elektronisk identifikationsordning i en anden EU-medlemsstat, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (eidas-forordningen). eidasforordningen regulerer tilsyn med tillidstjenester, hvorunder signering henhører.

13 Side 13 af 20 Der fremgår blandt andet, at der skal udpeges et nationalt tilsyn. Det var hensigten, at Kommissionen skulle udarbejde supplerende retsakter. 8. Hørte myndigheder og organisationer mv. Et udkast til lovforslag har i perioden [fra den 29. november 2017 til den 3. januar 2018.] været sendt i høring hos følgende myndigheder og organisationer mv.: Advokatsamfundet/Advokatrådet, ATP, BL Danmarks almene boliger, Danmarks Statistik, Danmarks Nationalbank, Dansk Erhverv, Dansk IT, Dansk Standard, Forum for digital sikkerhed, Danske Advokater, Danske Handicaporganisationer, Danske Regioner, Datatilsynet, Den Danske Dommerforening, Det Centrale Handicapråd, DI Digital, DKCERT, FDIH - Foreningen for Dansk Internethandel, Finans Danmark, Finanstilsynet, Forbrugerrådet, Forsikring og Pension, Institut for Menneskerettigheder, ITbrancheforeningen IT-branchen, IT-Politisk Forening, Kommunernes Landsforening, KL, KOMBIT, LOS - De private sociale tilbud, Nets DanID A/S, Ombudsmanden, PROSA, Psykiatrifonden, Rigsombudsmanden i Grønland, Rigsombudsmanden på Færøerne, Rådet for digital sikkerhed, Rådet for Socialt Udsatte, Telekommunikationsindustrien i Danmark, Ældremobiliseringen og Ældresagen. 9. Sammenfattende skema Økonomiske konsekvenser for stat, kommuner og regioner Positive konsekvenser/ mindreudgifter Ingen Negative konsekvenser/ merudgifter Det vurderes, at lovforslaget ikke har økonomiske eller administrative konsekvenser for det offentlige, da der er tale om en videreførelse af det, der allerede følger af den gældende certifikatpolitik for OCESpersoncertifikater, som Digitaliseringsstyrelsen har udarbejdet, og som Nets DanID A/S udsteder NemID efter. Der er tillige tale om en

14 Side 14 af 20 Administrative konsekvenser for stat, kommuner og regioner Økonomiske konsekvenser for erhvervslivet Administrative konsekvenser for erhvervslivet Administrative konsekvenser for borgerne Miljømæssige konsekvenser Forholdet til EU-retten Overimplementering af EU-retlige minimumsforpligtelser (sæt X) Ingen Ingen Ingen Det vurderes, at lovforslaget giver borgerne en mere klar retsstilling og sikrer, at borgerne kan klage til Digitaliseringsstyrelsen over afslag på at få udstedt NemID mv. Ingen Ingen Ja videreførelse af en administration, der allerede er etableret ved privat aftaleindgåelse. Det er vurderingen, at antallet af klager vil være på niveau med det nuværende, og at det vil kunne afholdes indenfor Digitaliseringsstyrelsen eksisterende ramme. Ingen af betydning. Ingen Ingen Ingen Ingen Nej X

15 Side 15 af 20 Bemærkninger til lovforslagets enkelte bestemmelser Til 1 Formålet med den foreslåede bestemmelse i 1, stk. 1, 1. pkt., er at sikre tydelig hjemmel til, at ministeren for offentlig innovation udpeger en udsteder til at varetage opgaven med at administrere og udstede NemID med offentlig digital signatur til fysiske personer (NemID). Det foreslås fastsat i 1, stk. 1, 2. pkt., at den udpegede udsteder, jf. 1. pkt., kan være en privat virksomhed. Bestemmelsen giver således udtrykkelig lovhjemmel til, at denne myndighedsopgave kan delegeres til en privat virksomhed. Ministerens bemyndigelse forventes i praksis at ville blive udøvet af Digitaliseringsstyrelsen. Det slås dermed fast, at NemID udstedes på statens vegne, og at det er ministeren for offentlig innovation, der har myndighedsansvaret og sikrer, at der udpeges en udsteder af NemID til fysiske personer. En udsteder skal forstås i overensstemmelse med det, der i OCES-certifikatpolitikken for personcertifikater betegnes som et certificeringscenter, jf. lovforslagets bilag 1. Nets DanID A/S er allerede godkendt og udpeget til at varetage opgaven som udsteder af NemID. Udpegning af Nets DanID A/S, som udsteder, skete på baggrund af et EU-udbud gennemført i Kontrakten løber efter forlængelse frem til forventeligt Det er hensigten, at Nets DanID A/S - der allerede i dag er udpeget som udsteder - fortsætter med at varetage opgaven med at administrere og udstede NemID på de vilkår, som er fastsat i den til enhver tid gældende certifikatpolitik for OCES-personcertifikater i perioden frem til den gældende kontrakt udløber efter forlængelse forventeligt i Seneste version, version 5 af 2. marts 2017, fremgår af bilag 1 til lovforslaget. Bestemmelsen omfatter NemID, som udstedes til fysiske personer, som også benævnes privatpersoner eller borgere. NemID til fysiske personer adskiller sig eksempelvis fra NemID til erhverv (virksomheds-, medarbejder-, og funktionscertifikater) samt fra pengeinstitutternes NemID til netbank, som ikke er omfattet af lovforslaget. Den udpegede udsteder (i dag Nets DanID A/S) skal blandt andet administrere og udstede NemID til borgere, og forventes i sin administration og udstedelsesvirksomhed at agere i henhold til gældende ret og de regler, der fastsættes i medfør af 1, stk. 2. Udstederen skal blandt andet sikre, at borgeren opfylder de betingelser, der i medfør af 1, stk. 2, fastsættes for at få udstedt

16 Side 16 af 20 NemID. Udstederen foretager en vurdering og træffer ved udstedelse af NemID en afgørelse i forvaltningslovens forstand. Udstederen skal således efterleve de almindelige forvaltningsretlige regler og principper, når udstederne administrerer reglerne for borgerens mulighed for at få udstedt NemID. Hvis udstederen træffer en afgørelse om at give borgeren afslag på at få udstedt eller genåbnet NemID, eller om at spærre NemID, skal borgeren således blandt andet have en begrundelse og en klagevejledning eventuelt skriftligt, jf. herved forvaltningslovens kapitel 6 og 7. Det foreslås med formuleringen af 1, stk. 2, at give ministeren for offentlig innovation hjemmel til at fastsætte regler om administrationen af NemID, herunder om udstedelse og spærring samt genåbning af NemID. Der vil tillige kunne fastsættes regler, der omhandler de krav, der stilles til borgerens håndtering af NemID. De regler, der fastsættes skal sikre, at der i medfør af loven etableres en proces og klare regler for, hvordan en borger kan få udstedt NemID. Det er hensigten, at der fastsættes regler om, hvilke betingelser en borger skal opfylde for at kunne få udstedt NemID, hvornår der kan gives afslag, regler om spærring, ny-udstedelse, genåbning og lignende. Regler om borgerens håndtering af NemID fastsættes af hensyn til den samlede sikkerhed i NemID-løsningen. Reglerne skal være med til også at sikre borgerne mod konkret misbrug og skal samtidig bidrage til at opretholde den samlede sikkerhed ved NemID. Der kan blandt andet fastsættes regler om, at borgeren skal hemmeligholde nøglekortet og koder, at borgeren kognitivt skal have evnen til at forstå og følge reglerne, herunder beskytte det udstedte NemID og sine koder mod andres brug og misbrug. Det kan blandt andet fastsættes, at en borger skal tage rimelige forholdsregler for at beskytte de sikkerhedsmekanismer, der sikrer NemID mod kompromittering, ændring, tab og uautoriseret brug, og at en borger skal hemmeligholde adgangskoden, så andre ikke får kendskab til denne. Det vil tillige kunne fastsættes, hvilke konsekvenser det har, hvis borgeren ikke overholder disse krav, efter NemID er udstedt. Det forventes, at det fastsættes, at en fysisk person kan anmode om at få udstedt NemID online på hjemmesiden nemid.nu eller ved personligt fremmøde hos en registreringsenhed i eksempelvis kommunernes borgerservicecentre. De vilkår og krav, som gælder i dag, følger af certifikatpolitik for OCESpersoncertifikater punkt 6.2, og og udgør grundlaget for vilkårene for udstedelse af NemID (de såkaldte NemID-regler). Hensigten er i bekendtgørelsen at fastsætte regler tilsvarende de allerede gældende vilkår rettet mod borgere, så det tydeligt fremgår af bekendtgørelsen, hvornår en borger kan få udstedt NemID, og hvilke vilkår, de skal overholde.

17 Side 17 af 20 Det fremgår af certifikatpolitikken for OCES-personcertifikater punkt 6.2, at Nets DanID A/S ved aftale skal forpligte certifikatindehaveren, den fysiske person, til at opfylde en række betingelser. Betingelserne er fastsat som vilkår for NemID, som er de vilkår, som den enkelte borger (certifikatindehaveren) skal acceptere i forbindelse med udstedelse af NemID. Det forventes, at der i lighed med hvad der følger af certifikatpolitikken for OCES-personcertifikater, blandt andet vil blive fastsat regler om, at borgeren skal give fyldestgørende og korrekte svar på alle anmodninger fra den udpegede udsteder (Nets DanID A/S) og registreringsenheder, om information i ansøgningsprocessen, at en borger alene må benytte NemID i henhold til certifikatpolitikkens bestemmelser, at en borger skal tage rimelige forholdsregler for at beskytte de sikkerhedsmekanismer, der sikrer NemID mod kompromittering, ændring, tab og uautoriseret brug, at en borger skal hemmeligholde adgangskoden, så andre ikke får kendskab til denne, at en borger ved modtagelse af NemID skal sikre sig at indholdet heraf er i overensstemmelse med de faktiske forhold, at en borger omgående anmode om spærring og eventuel fornyelse af NemID, hvis indholdet heraf ikke er i overensstemmelse med de faktiske forhold, at en borger omgående skal ændre sin adgangskode eller spærre NemID, hvis der opstår mistanke om, at adgangskoden er kompromitteret, og at en borger omgående skal ophøre med at anvende NemID, hvis borgeren opnår kendskab til, at Nets DanID er blevet kompromitteret. I medfør af bestemmelsen vil det ligeledes kunne fastsættes, at Nets DanID A/S skal sikre, at borgeren opfylde de betingelser, der fastsættes for at kunne få udstedt NemID. Der vil samtidig kunne fastsættes regler, om, at der kan gives afslag på at få udstedt NemID, hvis udsteder vurderer, at borgeren ikke opfylder et eller flere af de fastsatte betingelser. Det kan eksempelvis være, hvis der er tvivl om, hvorvidt borgeren kan administrere og anvende NemID korrekt eksempelvis af sproglige eller forståelsesmæssige årsager. Et andet eksempel er, hvis der er tvivl om validiteten af legitimationsdokumentationen. Der henvises i øvrigt til de almindelige bemærkninger afsnit ovenfor. Til 2 Efter den foreslåede 2 slås det fast i loven, at den udpegede udsteder (i dag Nets DanID A/S) kan overlade opgaven med at udstede NemID med offentlig digital signatur til fysiske personer (NemID) til en juridisk enhed, som registreringsenhed. Begrebet juridisk enhed skal forstås i overensstemmelse med anvendelsen af begrebet i lov om Det Centrale Virksomhedsregister, jf. de almindelige bemærkninger afsnit ovenfor.

18 Side 18 af 20 Overdragelse af opgaven sker ved indgåelse af en konkret aftale herom på samme måde, som det foregår i praksis i dag. Dette vil blandt andet indebære, at den pågældende registreringsenhed vil skulle træffe afgørelser i forvaltningsretlig forstand. Nets DanID A/S har på nuværende tidspunkt delegeret opgaven med at udstede NemID til en lang række kommuner og pengeinstitutter på baggrund af bilaterale aftaler indgået med de enkelte kommuner og pengeinstitutter. Opgaven varetages og administreres typisk af borgerservicecentrene i kommunerne, jf. de almindelige bemærkninger afsnit ovenfor. Registreringsenhederne er på vegne af Nets DanID ansvarlig for identifikation og autentifikation af en kommende certifikatindehaver og for at udstede NemID til borgere. Det er derfor også registreringsenhederne, der påser og vurderer, om en borger lever op til de fastsatte regler for at kunne få NemID, og det er registreringsenhederne, der træffer afgørelse om at give en borger afslag, hvis borgeren ikke lever op til de krav, der er fastsat for at kunne få NemID. Der er tale om en opgave, der er delegeret fra Nets DanID A/S til registreringsenhederne, hvorfor de afgørelser, der træffes, træffes på vegne af Nets DanID A/S. Afgørelserne skal leve op til forvaltningsretten og de forvaltningsretlige principper. Nets DanID A/S har ansvaret for hele udstedelsesprocessen herunder validering af borgerens identitet samt for de afgørelser der træffes. Der henvises i øvrigt til de almindelige bemærkninger afsnit ovenfor. Til 3 Den foreslåede 3 fastslår, at en fysisk person har ret til at anmode om at få udstedt NemID med offentlig digital signatur til fysiske personer (NemID), hvis borgeren er fyldt 15 år, har et personnummer og kan legitimere sig fyldestgørende. En borger, der i øvrigt opfylder de betingelser, der fastsættes i medfør af 1, stk. 2, kan herefter få udstedt NemID. Bestemmelsen omfatter NemID, som udstedes til fysiske personer. Fysiske personer er privatpersoner også betegnet som borgere. Dette betyder blandt andet, at grønlændere og færinger, der har et personnummer, også kan anmode om at få udstedt NemID. Også fysiske personer, der ikke er danske statsborgere, kan anmode om at få udstedt NemID. Eksempelvis vil udlændinge, der får et personnummer i forbindelse med, at de kommer til landet for at arbejde, kunne anmode om at få udstedt NemID. Det forudsættes, at de regler, der fastsættes i medfør af 1, stk. 2, indeholder betingelserne for at få udstedt NemID. Det forudsættes tillige, at de regler, der

19 Side 19 af 20 fastsættes, følger de regler, der allerede i dag gælder i medfør certifikatpolitikken for af OCES-personcertifikater, og som er gengivet i vilkårene for NemID. Borgeren skal følge den procedure, der fastsættes, for at anmode om at få udstedt NemID. Det er forventningen, at borgeren som hidtil vil kunne anmode om at få udstedt NemID online på hjemmesiden nemid.nu eller ved personligt fremmøde hos en registreringsenhed i eksempelvis kommunernes borgerservicecentre. Der henvises i øvrigt til de almindelige bemærkninger afsnit ovenfor. Til 4 Det foreslås med 4, stk. 1, at fastslå, at klage over en afgørelse kan indbringes for Digitaliseringsstyrelsen. Den afgørelse, der påklages, vil være truffet af udsteder eller af en registreringsenhed, der udsteder NemID med offentlig digital signatur til fysiske personer (NemID) i kommunerne eller i pengeinstitutterne. De afgørelser, der kan påklages, er afgørelser, der er truffet efter de regler, der vil blive udstedt i medfør af 1, stk. 2. Der kan eksempelvis være tale om klage over en afgørelse om afslag på udstedelse af NemID, afslag på genåbning af NemID, klage over en afgørelse om spærring af et NemID og lignende efter regler fastsat i medfør af 1, stk. 2 Digitaliseringsstyrelsen vil foretage en klagesagsbehandling på baggrund af sagens oplysninger, de fastsatte regler, og efter de regler der følger af forvaltningsloven og de forvaltningsretlige principper mv. En borger, der vil klage over et afslag på at få NemID, vil, som tilfældet er i dag, kunne oplyse dette til registreringsenheden, som kan revurdere afgørelsen eller sende henvendelsen videre til udstederen (i dag Nets DanID A/S). Registreringsenhederne og udstederen (i dag Nets DanID A/S) skal som hidtil ved modtagelse af en klage vedrørende udstedelse eller spærring af NemID, efter en revurdering, videresende klagen til Digitaliseringsstyrelsen med henblik på behandling af klagen. Borgeren vil ligeledes kunne indbringe sagen direkte til Digitaliseringsstyrelsen. Digitaliseringsstyrelsen kan i konkrete klagesager rette henvendelse til den relevante registreringsenhed eller Nets DanID A/S i forbindelse med behandling af klagen, herunder med henblik på at få oplyst sagen tilstrækkeligt mv.

20 Side 20 af 20 Med den foreslåede bestemmelse i 4, stk. 2, slås det fast, at Digitaliseringsstyrelsens afgørelser ikke kan indbringes for anden administrativ myndighed. Afgørelserne vil dog kunne indbringes for domstolene i medfør af grundlovens 63. Der henvises i øvrigt til de almindelige bemærkninger afsnit ovenfor. Til 5 Det foreslås, at loven træder i kraft den 1. juli Bilag 1: Certifikatpolitik for OCES-personcertifikater: